Maschinenverordnung und Cyber Resilience Act: Was Konstrukteure jetzt wissen müssen

Zwei EU-Regelwerke verändern gerade grundlegend, wie Maschinen entwickelt, dokumentiert und über ihren gesamten Lebenszyklus betreut werden müssen: die neue Maschinenverordnung (EU) 2023/1230 und der Cyber Resilience Act (EU) 2024/2847. Beide greifen ab 2026 bzw. 2027 – und beide betreffen nicht nur Compliance- oder Rechtsabteilungen, sondern unmittelbar die Konstruktion. Wer eine Maschine baut, musste bislang vor allem an Statik, Hydraulik und Steuerungslogik denken. Künftig gehören Firewalls, Schwachstellenmanagement und automatische Sicherheitsupdates ebenso selbstverständlich zum Lastenheft.

Dieser Artikel gibt einen kompakten Überblick über die wichtigsten Fristen, Pflichten und Stolperfallen für die Praxis.

Das Wichtigste in Kürze:

Zwei Verordnungen, ein Produkt: MVO regelt die Maschine als Ganzes, CRA die Cybersicherheit ihrer digitalen Elemente – bei vernetzten Maschinen gelten beide.
Enger Fristenfahrplan: CRA-Meldepflichten ab September 2026, Maschinenverordnung ab Januar 2027, CRA vollumfänglich ab Dezember 2027.
Security by Design wird Pflicht: Cybersicherheit muss von Anfang an mitgedacht und über eine Software Bill of Materials dokumentiert werden.
Meldefristen sind eng: Schwachstellen künftig binnen 24 Stunden vorwarnen, nach 72 Stunden formell melden, nach 14 Tagen abschließend berichten.
Handlungsbedarf besteht jetzt: Viele Unternehmen sind noch nicht vorbereitet – früher Start erspart Zeitdruck vor den Stichtagen.

Die zwei Regelwerke im Überblick

Die Maschinenverordnung (EU) 2023/1230 löst die seit Jahrzehnten geltende Maschinenrichtlinie ab und tritt am 20. Januar 2027 vollständig in Kraft. Sie erweitert die Sicherheitsanforderungen an Maschinen um Cybersecurity-Aspekte: Sicherheitsrelevante Funktionen müssen künftig auch gegen digitale Manipulation geschützt sein. Zusätzlich werden durch den sogenannten Digital Omnibus on AI, der seit dem 27. Juli 2026 gilt, die technischen Anforderungen an Hochrisiko-KI direkt in die Maschinenverordnung integriert, statt separat über das KI-Gesetz zu laufen.

Der Cyber Resilience Act (EU) 2024/2847 legt erstmals ein europaweites Mindestmaß an Cybersicherheit für alle vernetzten Produkte fest, die auf dem EU-Markt angeboten werden – von preisgünstigen Verbraucherprodukten bis zu komplexen Industriesystemen. Betroffen sind explizit auch Maschinenbauer mit vernetzten SPS-Steuerungen oder Sensorik mit Ethernet-Schnittstelle.

Vereinfacht lässt sich die Abgrenzung so zusammenfassen: Die Maschinenverordnung betrachtet die Maschine als Gesamtprodukt, der Cyber Resilience Act ihre digitalen und vernetzten Bestandteile über den gesamten Lebenszyklus hinweg.

Der Fristenfahrplan – was wann gilt

Beide Verordnungen staffeln ihre Anforderungen in mehreren Stufen. Die wichtigsten Termine im Überblick:

11. September 2026: Artikel 14 des CRA wird wirksam – Hersteller vernetzter Produkte unterliegen der Meldepflicht für aktiv ausgenutzte Schwachstellen und Vorfälle.
20. Januar 2027: Die Maschinenverordnung (EU) 2023/1230 wird vollständig anwendbar und ersetzt die Maschinenrichtlinie endgültig.
2. August 2027: Die AI-Act-Pflichten für Hochrisiko-KI als Sicherheitsbauteil einer Maschine greifen.
11. Dezember 2027: Der Cyber Resilience Act gilt vollumfänglich, einschließlich CE-Kennzeichnung für Cybersicherheit.

Diese zeitliche Verdichtung mehrerer Regelwerke innerhalb weniger Monate ist kein Zufall, sondern Ausdruck der politischen Absicht, mechanische und digitale Produktsicherheit zusammenzuführen.

Die größten Stolperfallen

✓ Serienprodukte: Der Stichtag gilt pro einzelnem in Verkehr gebrachten Produkt, nicht pauschal für eine ganze Baureihe.

✓ Unterschätzte Meldefristen: Die Fristen von 24 Stunden für die Frühwarnung, 72 Stunden für die formelle Meldung und 14 Tagen für den Abschlussbericht gelten als ambitioniert und könnten von vielen Herstellern unterschätzt werden.

✓ Fehlende technische Schnittstellen: Die zentrale ENISA-Meldeplattform bietet bislang keine Schnittstellen für automatisierte Meldungen, was insbesondere Unternehmen mit vielen Produkten im Markt vor Herausforderungen stellt.

✓ Geringer Vorbereitungsstand: Laut dem "IoT & OT Cybersecurity Report 2025" von ONEKEY ist nur rund ein Drittel (32 %) der befragten deutschen Industrieunternehmen umfassend mit den CRA-Anforderungen vertraut, weitere 36 % haben sich zumindest schon damit befasst – mehr als ein Viertel (27 %) hat sich dem Thema bislang noch gar nicht zugewendet.

Was bedeutet das konkret für die Konstruktion?

Für die tägliche Entwicklungsarbeit ergeben sich daraus mehrere neue Pflichten:

Security by Design: Cybersicherheit muss von der ersten Entwurfsphase an mitgedacht werden – nicht als nachträgliche Ergänzung, sondern als integraler Bestandteil der Konstruktion.

Software Bill of Materials (SBOM): Hersteller müssen lückenlos dokumentieren, welche Softwarekomponenten in einem Produkt verbaut sind, um Schwachstellen im Ernstfall schnell zuordnen zu können.

Schwachstellen- und Update-Management: Es braucht etablierte Prozesse, um Sicherheitslücken über die gesamte Produktlebensdauer zu identifizieren, zu bewerten und über Updates zu schließen.

Protokollierung: Die Maschinenverordnung verlangt beispielsweise die Aufbewahrung sicherheitsrelevanter Protokolle für ein Jahr – abweichende Fristen anderer Regelwerke wie der KI-Verordnung sind dabei zu beachten.

Handlungsempfehlungen für Konstrukteure und Teams

Bestandsaufnahme durchführen: Welche aktuellen und geplanten Produkte enthalten digitale Elemente im Sinne des CRA?
Frühzeitige Abstimmung mit Compliance- und Rechtsabteilung, um Zuständigkeiten für Meldeprozesse zu klären.
Prozesse für das Vulnerability-Reporting bereits vor September 2026 aufbauen und testen.
SBOM-Tooling evaluieren und in bestehende Entwicklungsprozesse integrieren.
Regelmäßig prüfen, ob sich an den Fristen oder Leitlinien der EU-Kommission etwas ändert – insbesondere der finale CRA-Leitfaden steht noch aus.

Ein typisches Beispiel aus der Praxis
Eine vernetzte SPS-Steuerung mit Ethernet-Schnittstelle. Sie fällt sowohl unter die Maschinenverordnung als auch unter den Cyber Resilience Act und muss entsprechend beide Anforderungsprofile erfüllen.

Wo CRA und Maschinenverordnung ineinandergreifen

Ein Produkt kann gleichzeitig Maschine im Sinne der Maschinenverordnung und "Produkt mit digitalen Elementen" im Sinne des CRA sein. Für Produkte, die ab dem 11. Dezember 2027 in Verkehr gebracht werden, ist deshalb in der Konformitätserklärung neben der Maschinenverordnung auch der Cyber Resilience Act zu nennen, sofern das Produkt digitale Elemente im Sinne der CRA-Definition enthält. Wichtig dabei: Bei Serienprodukten bezieht sich der jeweilige Stichtag nicht auf das erste Produkt der Serie, sondern auf jedes einzeln in Verkehr gebrachte Produkt – im Einzelfall ist daher genau zu prüfen, ob es sich noch um eine identische Komponente handelt oder ob neue Funktionen hinzugekommen sind.

Zusätzlich verzahnt sich das Ganze mit dem EU-AI Act: KI-Systeme, die als Sicherheitsbauteil in eine Maschine eingebettet sind, gelten als Hochrisiko-Systeme und unterliegen ab August 2027 eigenen Pflichten. Die Einhaltung des CRA kann dabei als Konformitätsvermutung für die Cybersicherheitsanforderungen der KI-Verordnung dienen – in den Details unterscheiden sich die Pflichten aber teils erheblich.

Fazit

Maschinenverordnung und Cyber Resilience Act machen Cybersicherheit erstmals verbindlich zum Bestandteil der Maschinenkonstruktion. Wer jetzt beginnt, Security-by-Design-Prinzipien, SBOM-Prozesse und Meldewege aufzubauen, vermeidet Zeitdruck, wenn die zentralen Fristen 2026 und 2027 näher rücken.

FAQ - Häufige Fragen zu Maschinenverordnung & Cyber Resilience Act

Ab wann muss ich mich als Konstrukteur konkret mit dem Cyber Resilience Act befassen?

Die erste praktisch relevante Frist ist der 11. September 2026: Ab diesem Datum gelten Meldepflichten für aktiv ausgenutzte Schwachstellen. Da entsprechende Prozesse Vorlaufzeit brauchen, sollte die Vorbereitung deutlich früher beginnen.

Gilt der Cyber Resilience Act für jede Maschine?

Nein. Er gilt nur für Produkte mit "digitalen Elementen" im Sinne der CRA-Definition, etwa vernetzte Steuerungen oder Software mit lokaler Client-Komponente. Rein mechanische Maschinen ohne digitale Komponenten fallen nicht darunter.

Was ist eine SBOM, und warum ist sie relevant?

Eine Software Bill of Materials (SBOM) ist eine lückenlose Auflistung aller in einem Produkt verbauten Softwarekomponenten. Sie ermöglicht es, im Falle einer bekannt gewordenen Schwachstelle schnell zu prüfen, welche eigenen Produkte betroffen sind.

Was passiert, wenn eine Maschine sowohl unter die Maschinenverordnung als auch unter den CRA fällt?

In diesem Fall müssen die Anforderungen beider Verordnungen erfüllt werden, und beide sind in der Konformitätserklärung zu nennen, sofern das Produkt digitale Elemente enthält. Die konkrete Abgrenzung ist teils im Einzelfall zu prüfen.

Wie hängen Maschinenverordnung, Cyber Resilience Act und EU-AI Act zusammen?

Alle drei Regelwerke können bei einer vernetzten Maschine mit KI-Sicherheitsbauteil parallel greifen: Der CRA regelt die Cybersicherheit der digitalen Elemente über den Lebenszyklus, die Maschinenverordnung die Maschine als Gesamtprodukt, und der EU-AI Act reguliert KI-Systeme, die als Sicherheitsbauteil gelten. Die Einhaltung des CRA kann dabei teilweise als Konformitätsvermutung für Cybersicherheitsanforderungen der KI-Verordnung dienen.